Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantación de la Norma ISO 27001 en un Centro.

Presentación del tema: "Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantación de la Norma ISO 27001 en un Centro."— Transcripción de la presentación:

1 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantación de la Norma ISO 27001 en un Centro de Supercomputación JT RedIris 2010 Córdoba, 19 de noviembre de 2010 Antonio Ruiz Falcó – Director Técnico antonio.ruizfalco@fcsc.es

2 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Contenido El Problema de la seguridad El Problema de la seguridad La norma ISO 27001 Gestión de Seguridad de Sistemas de Información Experiencia en la FCSCL

3 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Usuarios Uno de cada 5 empleados deja a su familia y amigos usar sus portátiles corporativos para acceder a Internet. (21%). Uno de cada diez confiesa que baja algún tipo de contenido que no debiera mientras está en el trabajo. Dos tercios admiten tener conocimientos muy limitados en materia de seguridad. Un 5% dice que tienen acceso a areas de la red corporativa que no deberían tener. Fuente: McAffee.

4 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Gestión con criterios de Negocio ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! Informe Penteo (2006): –Sólo un 21% de las organizaciones gestionan el Dpto. de SI con criterios de negocio –31 % gestionan el dpto. de SI sólo con criterios tecnológicos –48 % gestionan con criterios híbridos Conclusiones: –La Dirección de las organizaciones tiene una percepción más positiva de los CIOs que siguen criterios de Negocio. Les dan el rol de líderes contribuidores de negocio en un 58% –La Gestión de las TICs mejora el posicionamiento del dpto. de SI y del CIO –En un futuro los CIOS más gestores y menos tecnólogos (Encuesta a: 85 Directores de TICs, 36 Dir. Generales y 12 Presidentes)

5 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Proteger Información ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Proteger Información vs Proteger Sistemas Seguir Controlando : las vulnerabilidades la seguridad perimetral los accesos indebidos intrusismo etc, Garantizar por parte del personal que el manejo de la información de la compañía se realiza de una forma segura, independientemente del formato o soporte en el que se encuentre Y además….

6 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Atributos de la Seguridad ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Confidencialidad IntegridadDisponibilidad Asegurar que la información es accesible sólo a usuarios autorizados

7 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Atributos de la Seguridad ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Asegurar que la información es accesible sólo a los usuarios autorizados Garantizar la exactitud y completitud de la información y los métodos de proceso Asegurar que los usuarios autorizados tienen acceso cuando lo requieran a la información y los activos asociados

8 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Contenido ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! El Problema de la seguridad La norma ISO 27001 Gestión de Seguridad de Sistemas de Información La norma ISO 27001 Gestión de Seguridad de Sistemas de Información Experiencia en la FCSCL

9 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. La Norma ISO 27001 ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Parte del sistema general de gestión que comprende la política, la estructura organizativa, los procedimientos, los procesos, y los recursos necesarios para implantar la gestión de la seguridad de la información. La herramienta de que dispone la Dirección para implantar las políticas y objetivos de Seguridad de la Información. Permite, establecer y reordenar la Seguridad de los Sistemas de Información en concordancia con los Planes Estratégicos de la Organización y con sus Políticas de Seguridad.

10 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Riesgo Gestionado ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! La seguridad absoluta no existe Siempre hay que convivir con situaciones de riesgo El riesgo conocido puede ser analizado y gestionado.

11 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Lo que debe ser… ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Seguridad de la Información Organización Medidas Técnicas Políticas

12 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Es… ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Seguridad de la Información Organización Medidas Técnicas Políticas

13 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. El error de toda organización !!!Dejar en manos del equipo de TI la toma de decisiones políticas y organizativas!!!

14 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. La ISO 27001 es… ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! El poli malo para hacer cosas que no podríamos justificar de otra forma

15 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Metodología ISO 27001 Plan DoCheck Act Establecer el SGSI Implantar y operar el SGSI Monitorizar y revisar el SGSI Mantener y mejorar el SGSI

16 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Establecer el SGSI ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! Definir el alcance del SGSI Definir la política del SGSI Definir los objetivos Identificar los riesgos Gestionar los riesgos Seleccionar los controles de Seguridad

17 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantar y Operar el SGSI Definir e implantar el plan de gestión de riesgos Implantar controles seleccionados Implantar el sistema de gestión

18 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Monitorizar y Revisar el SGSI ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! Desarrollar procedimientos de monitorización Revisar regularmente el SGSI Revisar los niveles de Riesgo Auditar internamente el SGSI

19 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Mantener y Mejorar el SGSI Implantar las mejoras Adoptar acciones correctivas y preventivas Comunicar acciones y resultados Verificar que las mejoras cumplen su objetivo

20 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Estructura SGSI ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! Manual Procedimientos Instrucciones de Trabajo Registros

21 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Contenido ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! El Problema de la seguridad La norma ISO 27001 Gestión de Seguridad de Sistemas de Información Experiencia en la FCSCL Experiencia en la FCSCL

22 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Alcance ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! ¡¡¡Pero lo más difícil es que vamos a cobrar por nuestros servicios, así que tiene que funcionar!!! Prestación de Servicios de Supercomputación y Cloud Computing. Desarrollo de Proyectos de I+D+i en áreas de Supercomputación, Cloud Computing y Eficiencia Energética.

23 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Establecer el SGSI ¡¡¡Tienes que diseñar un Centro de Supercomputación. Tiene que ser muy potente, barato de instalar y mantener y estar finalizado a tiempo!!! Definir el alcance del SGSI Definir la política del SGSI Definir los objetivos Identificar los riesgos Gestionar los riesgos Seleccionar los controles de Seguridad

24 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantar el SGSI Gestión del Riesgo I Inventario de Activos Abstracción Agrupación Responsabilidades

25 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantar el SGSI RIESGOS Gestión del Riesgo II 133 Controles!!

26 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantar el SGSI RIESGOS Gestión del Riesgo III Amenazas Cálculo del Riesgo Estado aplicabilidad controles Indicadores CMI Gestor documental

27 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. Implantar el SGSI RIESGOS

28 Copyright © 2010, FCSC. All rights reserved. Other brands and name are property of their respective owners. www.fcsc.es Fundación Centro Supercompurtación de Castilla y León Copyright © 2008, Fundación Centro de Supercomputación de Castilla y León. Redondo Gil, C. FCSCCYL Confidential – For Use under NDA only. All plans, dates and figures are subject to change without any notice as they apply. Other names and brands may be claimed as the property of other. Edificio CRAI-TIC Campus de Vegazana s/n 24071 León (España) Tlf.: (+34) 987 29 3160